新形势下企业合规管理面临的挑战与对策探究

高艳伟 董晓笛

（1.中交投资有限公司，北京 100029；2.中国化学工程集团有限公司，北京 100007）

完善的合规管理体系，是企业的核心竞争力之一。新形势下，企业要实现高质量发展，需要持续推进合规管理体系建设，针对面临的重大合规风险采取有效的应对措施。

一、正确认识合规管理的大环境

谈到合规，不少人会觉得无关紧要；甚至有人觉得，如果过于强调合规，很多事都做不了，以至于将合规作为业务开拓的绊脚石。或许，在某些时期、某些地区、某些环境下，这类观点也得到了某些实践操作的印证。但是，本文想强调的是，合规环境已经发生根本变化。新形势下，推进合规管理体系建设，首先就要对当前合规管理所处的大环境有清醒的认识，破除陈旧的思维观念，树立合规经营的理念。

（一）监管日趋严格，执法力度持续增强

法律的生命在于执行。但在一些情形下，国家不少法律规定，只是停留在纸面上，没有得到强有力的执行。以至于让很多人形成一种错觉，觉得那些法律规定根本不必在乎。但是，近年来，很多领域的执法力度都在持续增强，因合规问题受到行政处罚甚至刑事追责，或者导致项目停滞甚至终止，都屡见不鲜。例如，2019年，证监会对各类违法行为共做出行政处罚决定296件，罚没款金额达到41.83亿元[1]。

（二）法规动态变化，业务模式受到挑战

政策法规不是一成不变的，经常会根据社会经济形势的变化进行调整。其中，与业务模式相关的政策法规变化，是企业合规管理面临的重要挑战。例如，近期蚂蚁集团上市前夕，国家关于网络小额贷款业务的监管规则出现重大变化，直接导致该公司上市受挫。又如，政企合作项目领域，国家对预算法的修订、隐性债务的监管，使得BT模式由合规变为违规，政企合作项目的多种投资模式都面临合规性风险。

（三）合规风控能力是企业核心竞争力之一

合规管理不是简单地将风险拒之门外，而是重在提升控制合规风险的能力，将合规风控体系打造成为企业的核心竞争力。这要求合规管理不是简单地“say no”，而是要围绕企业的发展目标，探索实现目标的合规路径。同样的项目，可能有的企业觉得不合规而无法实施；但合规风控能力强的企业，就可以找到合规实施的路径。如果企业的合规风控能力足够强，就可以实施别的企业做不了或不敢做的项目，从而取得竞争优势。

二、正确认识企业面临的合规风险

普通企业所处的行业，一般不是受到专门监管的金融、医药等特定行业；如果不从事海外业务，也不涉及境外合规管理要求。但是，这并不意味着企业不存在合规风险，而是要有针对性地加强合规管理。

（一）区分日常合规风险与业务合规风险

所谓日常合规风险，是指公司日常管理活动中存在的合规风险，例如：财务、人力、招标、采购、工程建设等。任何企业日常管理工作中均可能存在违反法律法规的风险。所谓业务合规风险，是指公司主营业务产品或服务存在的特定合规风险，例如：基建投资公司从事的政企合作项目，投资模式是否合规的风险。

针对日常合规风险的控制，重在规范相关职能部门管理要求，一般并不需要采取特别的应对措施。针对业务合规风险的控制，则需要公司业务部门和相关职能部门共同加强研究，为业务模式创新及规范实施，提供支撑和保障。

（二）区分一般合规风险与重大合规风险

所谓一般合规风险，虽然可能对公司造成不利后果，但总体能够承受，不会伤筋动骨。所谓重大合规风险，是可能对公司、项目或某类业务造成颠覆性影响的风险。

举例来说，华为、中兴这类公司，海外业务占比较高，美国贸易制裁的风险，就是重大合规风险。一旦发生，将可能使公司立刻停止运转。再比如，政企合作项目，如果投资模式出现重大合规风险，就可能停滞或终止。但是，如果工程项目的建设手续不够完善，虽然也会有不利后果，但一般不会造成颠覆性影响，可以逐步整改完善，属一般合规风险。实践中，一般合规风险与重大合规风险的界定，可能因外部监管尺度的变化而需要相应调整。

（三）区分内部合规风险与外部合规风险

广义的合规，是将内部制度的执行与外部法规的遵循，均纳入合规管理体系的范畴。所谓内部合规风险，是公司内部规章制度得不到执行的风险，一般为内控体系建设的管理领域。所谓外部合规风险，是公司及其员工的行为违反外部法律法规或监管要求的风险，应属合规管理的重点。

但是，内部合规风险与外部合规风险并非毫无关联。内控体系不健全，也可能导致违反外部监管要求。比如，法国阿尔斯通因海外行贿被美国利用《反海外腐败法》重点打击，原因之一就是阿尔斯通内部未能建立并有效执行禁止商业贿赂的管控体系[2]。

综上，企业面临的合规风险，重点是与主营业务相关的外部重大合规风险。日常管理工作中的一般性合规风险，应当重在通过规范职能管理予以控制。

三、推进合规管理体系建设的对策

当前中国企业的合规管理体系建设，普遍处于起步阶段，但对企业长远发展具有举足轻重的作用。比如，华为公司的合规管理体系，在中美贸易战的大背景下，经受住了严峻考验，发挥了良好的保障作用。反观中兴通讯，因合规问题遭到巨额处罚，在中美贸易战中处处受制于人，则是典型的合规管理失败案例。企业开展合规管理工作，需要在借鉴先进企业经验、吸取失败企业教训的基础上，结合实际情况稳步推进。

（一）建立合规管理制度体系

完善的制度体系是开展合规管理工作的基础。企业合规管理制度可以分为基本制度和专项制度，还包括其他管理制度中涉及合规的内容。其中，最重要的是，要结合企业重大合规风险管理需要，制定专项合规管理制度或者操作指南。实践中，制度体系方面最常出现的问题是“假大空”，脱离实际业务需要，增加了管理成本，却达不到合规目标。解决这一问题，要求合规管理制度的起草者，对企业的业务实质及关键风险要有深刻认识，而非照搬其他企业的制度模板。

（二）建立合规管理组织体系

健全的组织体系是合规管理工作落地的关键。对此，一是要明确董事会、高管层及全体员工的合规管理职责；二是要建立专门的合规领导机构，即合规委员会；三是要理清合规管理部门与业务主管部门的职责分工，确立“业务谁主管、合规谁负责”的原则；四是要加强合规管理队伍建设，在企业各级机构配备符合业务需要的法务合规专员。实践中，组织体系方面最常出现的问题是，大家都把合规管理当作合规部门的事儿，未能形成合力，导致合规体系漏洞百出。制度建设要靠专业人士，但制度执行要靠全员协同，尤其是高管层的有力推动，否则这种组织体系就会成为摆设。

（三）加强合规风险评估应对

合规风险评估应对是合规管理的主要内容。企业开展合规风险评估，就要持续关注本企业主营业务相关法律法规、监管要求的变化，定期对照有关合规要求，系统梳理、识别经营管理活动中可能触发的合规风险，建立并及时更新合规风险清单。并且，针对评估确定的重大合规风险，制定合规应急预案，明确应急处置职责、路径和要求，最大限度地化解风险、降低损失。实践中，风险评估应对方面最常出现的问题是，浮于表面，未能发现对企业生产经营构成重大威胁的合规风险，或者即使发现了也没有采取有效的应对措施。风险评估应对不能拍脑袋，而是要依靠专业人士，采用专业方法，否则很可能就只是做了一堆表格和方案，发挥不了实际作用。

（四）把握合规管理重点领域

前文已经提到，开展合规管理要区分日常合规风险与业务合规风险、一般合规风险与重大合规风险、内部合规风险与外部合规风险，其核心就是要把握合规管理的重点领域。虽然从理论上说，合规管理要“纵向到底、横向到边”，实现全覆盖。但如果过于强调全覆盖，将分散合规管理的注意力，并可能对一些日常管理工作造成负担。实践中，华为等先进企业的合规管理实践中，往往结合本企业的实际，将出口管控、反垄断、反商业贿赂等作为合规管理的重点。但是，正如任正非所说，“对合规风险进行程度等级的划分，并不意味着可以接受这些合规风险[3]”。风险程度较低的合规风险，要通过加强日常管理实现有效控制。

企业合规管理体系是一个复杂的有机整体，其中最基本的要素是，企业管理层和全体员工都能够将合规视为企业管理的刚性要求，将遵纪守法作为原则和红线。面对新形势下的挑战，合规管理体系建设的有效推进，将有助于企业保持定力、行稳致远。